C5-Testat Typ 2: Ablauf, Dauer, Kosten.

Ein Typ-1-Testat bestätigt zu einem Stichtag, dass Ihre Kontrollen angemessen gestaltet sind. Es ist nur für Erstprüfungen vorgesehen, jede Folgeprüfung ist Typ 2.

Ein Typ-2-Testat bestätigt zusätzlich, dass die Kontrollen über einen Zeitraum wirksam waren. Der Prüfzeitraum dauert mindestens 3 und höchstens 12 Monate, in der Praxis meist 6 bis 12. Wer die Nachweise hat, kann direkt mit Typ 2 einsteigen.

Nur ein Wirtschaftsprüfer, in einer Prüfung nach ISAE 3000 (Revised) bzw. IDW PS 860. Das BSI schreibt den Kriterienkatalog, prüft aber selbst nicht und vergibt kein Zertifikat. Andere Fachleute können im Prüfteam mitarbeiten, unterschreiben darf nur der Wirtschaftsprüfer.

Deshalb heißt es „C5-testiert“, nie „C5-zertifiziert“. Warum das mehr als Wortklauberei ist, steht in unserem Guide zu Zertifizierung und Testat.

• §393 SGB V: Leistungserbringer, Kranken- und Pflegekassen und ihre Auftragsverarbeiter dürfen Gesundheits- und Sozialdaten nur dann in der Cloud verarbeiten, wenn die datenverarbeitende Stelle ein aktuelles C5-Testat über die Basiskriterien hat. Seit dem 01.07.2025 muss es Typ 2 sein.
• Für IT-Systeme, die nach dem 30.06.2025 erstmals in Verkehr gebracht wurden, reicht in den ersten 18 Monaten ein Typ-1-Testat (BEEP-Gesetz, in Kraft seit 01.01.2026).
• Übergangsweg nach C5-Gleichwertigkeitsverordnung: ISO 27001, ISO 27001 auf Basis IT-Grundschutz oder CSA CCM v4, aber nur mit dokumentierter Gap-Analyse und Maßnahmenplan. Typ 1 muss binnen 18 Monaten, Typ 2 binnen 24 Monaten folgen.
• Bundesbehörden verlangen C5 über den BSI-Mindeststandard zur Nutzung externer Cloud-Dienste und EVB-IT Cloud.

Das Testat Ihres Hyperscalers reicht nicht. AWS, Azure und Google Cloud testieren ihre Schichten, nicht Ihre SaaS-Anwendung. Dass der SaaS-Anbieter selbst ein Testat braucht, ist die verbreitete Auslegung von §393, gestützt auf die Position des BMG. Rechtsprechung dazu gibt es noch nicht.

1. Scope festlegen: welche Dienste, welche Regionen, welche Dienstleister. Für Hyperscaler und andere Subdienstleister wählen Sie zwischen Carve-out (deren Bericht wird referenziert) und inklusiver Methode.
2. Gap-Analyse gegen die Basiskriterien. Für Prüfzeiträume, die vor dem 01.06.2027 beginnen, ist das C5:2020 mit 121 Kriterien, danach C5:2026 mit 168.
3. Lücken schließen: Richtlinien, Prozesse, technische Kontrollen, Systembeschreibung, Erklärung der Geschäftsleitung.
4. Prüfer beauftragen. Qualifizierte Prüfer melden Wartelisten von 3 bis 6 Monaten.
5. Prüfzeitraum laufen lassen und Evidenz über die gesamte Zeit sammeln, nicht nur zum Stichtag.
6. Prüfung und Bericht. Der Bericht listet auch die Kontrollen, die Ihre Kunden selbst umsetzen müssen, und die Kontrollen Ihrer Subdienstleister.

Vorbereitung 3 bis 6 Monate, Prüfzeitraum 6 bis 12 Monate. Bis zum ersten Typ-2-Bericht sind 12 bis 18 Monate ein realistischer Rahmen. Wer ein funktionierendes ISMS hat, liegt am unteren Ende.

• Gap-Analyse: 5.000 bis 25.000 €.
• Beratung und Maßnahmenkonzept: 20.000 bis 60.000 €.
• Testat Typ 1 oder Typ 2: 40.000 bis 120.000 €. Ein klassisches Typ-2-Engagement liegt laut Prüferseite bei 60.000 bis 120.000 €.
• Kleine Anbieter ohne ISMS: insgesamt über 200.000 € möglich.

Das sind Marktsignale aus Fachpresse und Anbieterangaben, keine festen Preise. Der größte Hebel ist die Vorbereitung: Je vollständiger Scope, Evidenz und Systembeschreibung sind, wenn der Prüfer anfängt, desto kürzer die Prüfung. Wer schon ISO 27001 hat, kann Nachweise in einer kombinierten Prüfung wiederverwenden.

Korrekt ist zum Beispiel: „C5-Testat Typ 2 für den Zeitraum [Beginn] bis [Ende]“. Ein Typ-2-Testat hat kein formales Ablaufdatum, weil es einen vergangenen Zeitraum bescheinigt. Kunden erwarten trotzdem jährliche Folgeberichte. Laut BSI müssen Kunden den Bericht selbst lesen und in ihr Risikomanagement übernehmen. Das Testat ersetzt deren Prüfung nicht.